다섯 살도 알 수 있게 · 정보보안
개인정보 안전성 확보조치·내부관리계획이 뭐예요?
개인정보 안전성 확보조치와 내부관리계획을 손님 정보 창고만을 위한 전담 단속 수칙 이야기로 풀어봤어요.
손님 정보 창고도 다른 방과 똑같이 취급돼요.창고 단속이 담당자 마음에 따라 들쭉날쭉이에요.
손님 정보가 유출되면 손님 한 명 한 명이 피해를 봐요.그래서 손님 정보 창고 단속은 보통 창고보다 훨씬 더 엄격해야 해요.
내부관리계획은 손님 정보 창고만을 위한 전용 수칙이에요.내부관리계획은 일반 규칙 두루마리보다 더 세세하고 더 엄격해요.
접근 권한 관리들어올 사람 명부, 최소로
접속기록 보관·점검언제 누가 들어왔는지
고유식별정보 암호화주민번호 등은 반드시
물리적 보안·백신자물쇠와 벌레 차단
내부관리계획은 성의 일반 규칙과는 다른 전용 두루마리예요.내부관리계획의 항목은 개인정보보호법 시행령과 고시(안전성 확보조치 기준)가 정한 법적 의무예요.
수칙 문서만 있고 안 지키면 소용없어요.수칙이 글로만 있으면 종이예요 — 실제 접속기록으로 지켰음을 증명해야 해요. 검사관은 늘 증거부터 봐요.
한 줄로
내부관리계획 = 손님 정보 창고만을 위한 전담 단속 수칙. 접근 권한·접속기록·암호화·물리적 보안 같은 항목을 구체적으로 정해요.
개인정보의 안전성 확보조치는 개인정보보호법 시행령과 관련 고시가 정한 기술적·관리적·물리적 보호조치 기준이에요. 내부관리계획은 이 기준을 조직이 실제로 어떻게 지킬지 문서로 정리한 것으로, 접근권한 관리·접속기록 보관·암호화·백신·물리적 보안 등을 구체적으로 규정해요. 개인정보처리자는 수립·시행이 의무이고, 정보주체 1만 명 미만을 다루는 소상공인·개인·단체만 생략할 수 있어요.
어른들은 이렇게 불러요
- 내부관리계획
Internal management plan - 창고 전담 수칙 문서. 손님 정보를 다루는 조직이 세워야 하는 문서예요(1만 명 미만을 다루는 소상공인 등은 생략 가능).
- 안전성 확보조치 기준
Safeguard-measures notice - 법이 정한 세부 항목. 개인정보보호위원회의 고시로, 기술적·관리적·물리적 조치를 정해요.
- 접근 권한 관리
Access-rights management - 들어올 수 있는 사람 명부. 누가 들어올 수 있는지 최소한으로 정하고 기록해요.
- 접속기록 보관·점검
Access-log retention and review - 언제 누가 들어왔는지 일지. 1년 이상(5만 명 이상이나 민감정보 등을 다루면 2년 이상) 보관하고, 점검 주기는 내부관리계획으로 정해요.
- 고유식별정보 암호화
Encrypting unique identifiers - 주민번호 같은 건 반드시. 성에 들어온 뒤에도 자물쇠로 한 번 더 잠가요. → 열쇠 없이는 못 읽는 편지
- 개인정보 보호책임자
Chief Privacy Officer (CPO) - 창고 전담 책임자. 내부관리계획을 세우고 지키는 걸 책임지는 사람이에요.
- 성의 규칙 두루마리
Castle-wide security policy - 성 전체의 일반 보안 규칙. 내부관리계획은 이것의 손님정보 전용 버전이에요. → 성의 규칙 두루마리
- 규정 준수
Compliance - 검사관이 증거를 봐요. 계획만 있고 기록이 없으면 검사를 통과 못 해요. → 이웃 나라 규칙 검사관
다음 이야기
엿들으면 바로 티 나는 빛 알갱이 열쇠 →